CVE-2023-6497: podatność Stored XSS w wtyczce WordPress Simple PayPal Shopping Cart

Co wiadomo

Wtyczka WordPress Simple Shopping Cart do wersji 4.7.1 zawiera podatność Stored Cross-Site Scripting (XSS) w ustawieniu automatycznego przekierowania URL. Pozwala to administratorom na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony, dotyczy to instalacji multisite oraz wyłączonego filtra unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie i wykonanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub manipulacji zawartością strony. Zagrożenie dotyczy głównie środowisk multisite oraz konfiguracji z wyłączonym filtrem unfiltered_html, co może wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia administratorów, zweryfikować i oczyścić ustawienia automatycznego przekierowania URL, a także monitorować logi pod kątem podejrzanych aktywności. Warto również rozważyć włączenie filtra unfiltered_html oraz ograniczenie instalacji multisite, jeśli nie jest to konieczne.

Źródła

• NVD
• Reference
• Reference